🇰🇷 한글 설명
Parse Server의 특정 버전에서 클라우드 함수 엔드포인트를 호출할 때 조작된 함수 이름을 사용하여 JavaScript 프로토타입 체인을 탐색할 수 있는 취약점이 존재합니다. 이로 인해 스택 오버플로가 발생하여 Parse Server 프로세스가 중단될 수 있습니다. 해당 취약점은 함수 이름 해석 시 고유 속성만 조회하도록 제한함으로써 해결되었습니다.
💡 쉬운 설명
해커가 특수하게 조작된 이름을 사용하여 서버의 내부 구조를 건드리면 서버가 갑자기 멈춰버릴 수 있는 문제입니다. 서버가 정상적으로 작동하지 않게 만드는 서비스 거부 공격이 가능합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.24 and 8.6.47, remote clients can crash the Parse Server process by calling a cloud function endpoint with a crafted function name that traverses the JavaScript prototype chain of a registered cloud function handler, causing a stack overflow. The fix in versions 9.6.0-alpha.24 and 8.6.47 restricts property lookups during cloud function name resolution to own properties only, preventing prototype chain traversal from stored function handlers. There is no known workaround.
📍 영향받는 시스템
Parse Server 9.6.0-alpha.24 미만 및 8.6.47 미만 버전
⚔️ 공격 벡터
조작된 함수 이름을 포함한 클라우드 함수 엔드포인트 호출을 통한 프로토타입 체인 탐색 및 스택 오버플로 유발
🛡️ 대응 방법
Parse Server를 9.6.0-alpha.24 또는 8.6.47 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 parse-server의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.